안녕하십니까? 과학기술정보통신부 정보보호네트워크정책실장 최우혁입니다.

지금부터 쿠팡 전 직원에 의한 정보통신망 침해 사고 조사 결과를 말씀드리겠습니다.

조사단은 이번 사고에 대해 정보통신망 이용촉진 및 정보보호 등에 관한 법률 제48조의4에 따라 정보통신망에 대한 침해 사고의 원인을 분석하고, 유사 사고가 재발하지 않도록 재발 방지 대책을 마련하였습니다.

한편, 개인정보보호위원회는 개인정보보호법에 따른 개인정보 유출 규모 및 법 위반 여부 등을 조사 중에 있으며, 경찰청은 이번 침해 사고와 관련된 증거물 분석 등 수사를 진행하고 있습니다. 여타 관련 부처들도 소관 이슈들에 대해 검토 중임을 말씀드립니다.

과기정통부는 이번 사고가 국내 최대 전자상거래 플랫폼의 침해 사고이며, 대규모 정보가 유출된 중대한 침해 사고로 판단하고, 2025년 11월 30일 민관합동조사단을 구성하여 피해 현황 및 사고 원인 등을 조사하였습니다.

이번 침해 사고와 관련하여 조사단은 법과 원칙에 따라 철저하게 조사를 진행하고 국내외 기업에 대한 차별 없이 공정한 잣대로 동일한 기준을 적용하고 조사 과정에서 사고와 관련된 사실이 확인될 경우 명확한 판단 근거와 구체적인 사실을 토대로 조사 결과를 투명하게 공개한다는 원칙을 가지고 조사에 임했습니다.

쿠팡은 2025년 11월 16일 고객으로부터 개인정보 유출 관련 의심 이메일을 받았다는 내용의 고객의 소리를 접수한 이후, 2025년 11월 19일 4,536개의 계정의 고객명, 이메일 주소 등 정보가 유출되었다는 내용으로 한국인터넷진흥원에 침해 사고를 신고하였습니다.

이후, 한국인터넷진흥원은 현장 조사를 통해 추가 피해 여부를 파악하였으며, 유출 규모가 최초 신고된 4,500여 개가 아닌 3,000만 개 이상임을 확인하였습니다.

조사단은 공격자가 악용한 이용자 인증체계를 정밀 분석하고 공격 범위와 유출 규모를 파악하고자 웹 및 애플리케이션 접속기록 등 관련 자료에 대해 종합적인 분석을 진행하였습니다.

쿠팡으로부터 제출받은 공격자 PC 저장장치 HDD 2대, SSD 2대와 현재 재직 중인 쿠팡의 개발자 노트북에 대한 포렌식 분석도 병행하였습니다. 또한, 쿠팡 전사 차원의 정보보호 관리 체계에 대해서도 점검을 진행하였습니다.

다음으로, 쿠팡 침해 사고 조사 결과 확인된 정보 유출 규모에 대해서 말씀드리겠습니다.

먼저, 공격자는 쿠팡에서 유출된 정보의 일부 내용을 이메일 본문에 기재하여 2025년 11월 26일, 11월 25일 두 차례 쿠팡 측에 보냈습니다.

조사단은 공격자가 유출하였다고 주장하는 이용자 정보들에 대한 진위여부를 검증하고자 쿠팡의 웹 접속기록을 분석하였습니다.

그 결과, 조사단은 내정보 수정 페이지에서 성명, 이메일, 배송지 목록 페이지에서 성명, 전화번호, 주소, 공동현관 비밀번호, 주문목록 페이지에서 이용자가 주문한 상품 정보를 공격자가 유출한 후 이메일에 기재하여 쿠팡 측에 보낸 것을 확인하였습니다.

해당 이메일에는 개인의 사생활을 침해할 수 있는 민감한 상품 정보가 포함되어 있는 것도 확인되었습니다.

조사단은 쿠팡 웹 애플리케이션 접속기록 산출 방법 및 산출 결과에 대한 검증에 있어 개인정보보호위원회와 경찰청과 긴밀하게 협력하면서 주기적인 정보 공유를 통해 신뢰성을 확보하였습니다.

먼저, 내정보 수정 페이지에서 성명, 이메일이 포함된 이용자 정보 33,673,817건이 유출되었음을 확인하였습니다.

성명, 전화번호, 배송지 주소, 특수문자로 비식별화된 공동현관 비밀번호가 포함된 배송지 목록 페이지를 148,056,502회 조회하여 정보가 유출되었음을 확인하였습니다.

배송지 목록 페이지에는 계정 소유자 본인 외에도 가족, 친구 등 제3자의 성명, 전화번호, 배송지 주소 등 정보가 다수 포함되어 있었습니다.

그리고 성명, 전화번호, 배송지 주소 외에 공동현관 비밀번호가 포함된 배송지 목록의 수정페이지를 50,474회 조회하였음을 확인하였습니다.

또한, 이용자가 최근 주문한 상품 목록이 포함된 주문목록 페이지를 102,682회 조회하였음을 확인하였습니다. 향후 개인정보 유출 규모에 대해서는 개인정보보호위원회에서 확정하여 발표할 예정임을 말씀드리겠습니다.

다음으로, 사고 원인 분석입니다.

조사단은 사고 원인을 정보 유출 경로 분석과 공격자 행위 분석, 두 가지 측면에서 조사하였습니다.

먼저, 유출 경로 분석입니다.

조사단은 공격자가 쿠팡 서버의 인증 취약점을 악용하여 정상적인 로그인 없이 이용자 계정에 비정상 접속하여 정보를 무단 유출하였음을 확인하였습니다.

정상적으로 접속하는 경우 이용자는 로그인 절차를 거쳐 전자 출입증을 발급받게 됩니다. 그리고 쿠팡 관문서버는 발급받은 전자 출입증이 유효한지 여부를 검증하고 이상이 없을 시에 서비스 접속을 허용합니다.

반면, 공격자는 재직 당시 관리하던 이용자 인증시스템의 서명키를 탈취한 후 이를 활용해 전자 출입증을 위·변조하여 쿠팡 인증체계를 통과하였습니다. 그 결과, 정상적인 로그인 절차를 거치지 않고 쿠팡 서비스에 무단 접속할 수 있게 되었습니다.

다음으로, 공격자의 행위 분석입니다.

먼저, 취약점 발견 단계입니다.

공격자는 재직 당시 이용자 인증시스템 설계·개발 업무를 수행하면서 이용자 인증체계의 취약점과 키 관리체계의 취약점을 인지하고 있었습니다.

쿠팡 관문서버는 인증절차를 통해 전자 출입증이 정상적으로 발급된 이용자에 한해 접속을 허용해야 하므로 전자 출입증이 위·변조되었는지에 대해서도 확인을 진행해야 합니다. 하지만 조사단 결과... 조사 결과, 관련 확인 절차가 부재한 상황이었습니다.

또한, 쿠팡이 관리하고 있는 서명키는 전자 출입증을 발급하기 위해 사용하는 도구인 만큼 체계적이고 엄격한 관리 체계를 갖추고 있어야 합니다. 이에 업무 담당자가 퇴사할 경우에 해당 서명키를 더 이상 사용하지 못하도록 갱신 절차가 진행되어야 함에도 관련 체계 및 절차가 미비하였습니다.

다음으로, 취약점을 악용한 공격 테스트입니다.

공격자는 퇴사 후 재직 당시 탈취한 서명키와 내부 정보를 활용하여 전자 출입증에 대한 위·변조를 진행하였습니다. 그 후 이를 악용해 정상적인 로그인 절차 없이 쿠팡 인증체계를 통과하면서 본격적인 공격을 위한 사전 테스트를 진행하였습니다.

조사단은 이와 관련하여 현재 재직 중인 개발자 노트북 포렌식 결과, 서명키를 키 관리시스템에서만 저장해야 함에도 개발자 노트북에서도 저장한 사실을 확인하였으며, 공격자 PC 저장장치 HDD 2대, SSD 2대 포렌식 결과, 쿠팡에서 사용하고 있는 이용자 고유식별번호와 위·변조한 전자 출입증을 확인할 수 있었습니다.

또한, 2025년 4월 14일부터 11월 8일까지 공격적인 공격을 진행하기 이전에 2025년 1월경 공격 흔적을 확인하였습니다.

다음으로, 대규모 정보 유출 단계입니다.

공격자는 사전 테스트를 통해 이용자 계정 접근이 가능한 사실을 확인한 이후 자동화된 웹크롤링 공격 도구를 이용하여 대규모 정보를 유출하였습니다. 이 과정에서 공격자는 총 2,313개 IP를 이용하였습니다.

조사단은 공격자 PC 저장장치 HDD 2대, SSD 2대 포렌식 결과, 공격자가 정보 수집 및 외부 서버 전송이 가능한 공격 스크립트를 작성한 것을 확인하였습니다.

특히, 위·변조 전자 출입증을 이용해 타인의 계정으로 무단 접속한 후 유출한 정보를 해외 클라우드 서버로 전송할 수 있는 기능이 포함되어 있는 것을 확인하였습니다.

다만, 실제 전송이 이루어졌는지 여부에 대해서는 기록이 남아있지 않아 확인할 수 없었습니다. 조사단은 조사를 통해 쿠팡의 이용자 인증체계, 키 관리체계 및 정보보호 관리체계 등의 문제점을 발견하고 재발방지 대책을 마련하였습니다.

먼저, 이용자 인증체계 문제점입니다.

조사단은 공격자가 위·변조한 전자 출입증을 사용하여 쿠팡 서비스에 무단으로 접속한 것을 확인하였고, 정상적인 발급 절차를 거친 전자 출입증인지 여부를 검증하는 체계가 부재한 사실을 확인하였습니다.

또한, 쿠팡은 모의해킹을 통해 이용자 인증체계의 취약점 발굴·개선을 추진하였으나, 발견된 문제점에 한하여 해결책을 모색하고 쿠팡 관문서버의 이용자 인증체계 개선 등 전반적인 문제점 검토는 이루어지지 않았습니다.

이에 대해 재발방지 대책으로 쿠팡은 정상 발급 절차를 거치지 않은 전자 출입증에 대한 탐지 및 차단 체계를 도입하는 한편, 모의해킹에서 발견된 취약점에 대한 근본적인 문제 개선 방안을 마련하여야 합니다.

다음으로, 키 관리체계 문제점입니다.

쿠팡은 자체 규정에 따라 서명키를 키 관리시스템에서만 보관하고 개발자 PC에 저장하지 않도록 해야 한다고 명시하고 있습니다. 그러나 조사단은 현재 재직 중인 쿠팡 개발자가 노트북에 서명키를 저장하고 있어 키 유출 및 오남용 위험이 있음을 발견하였습니다.

또한, 쿠팡은 서명키를 체계적으로 관리할 수 있도록 발급 내용을 기록·관리하도록 규정하고 있으나, 조사단은 키 이력 관리체계가 부재하여 목적 외 사용을 파악하는 것이 불가능함을 확인하였습니다.

그리고 쿠팡은 내부자로 인하여 서명키와 같은 주요 정보가 탈취될 수 있는 위협에 대한 대응 체계가 부재하였습니다.

이와 함께 조사단은 정보보호 및 개인정보보호 관리체계 인증(ISMS-P)에 대해서도 점검을 진행하였습니다. 그 결과, 접근 권한별 직무 분리와 암호정책 수립이 미흡한 점을 확인하였습니다.

쿠팡은 개발과 운영을 분리하지 않고 개발자에게 실제 운영 중인 키 관리시스템에 접근하도록 권한을 부여하고 있었습니다. 그리고 내부 규정에서 키의 수명만 3년으로 정의하였고 사용자의 정보 변경에 따른 교체 등 세부적인 운영절차 수립이 미흡하였습니다.

이에 대한 재발방지 대책으로 쿠팡은 키 관리·통제 체계관리 강화 및 운영관리 기준을 명확히 하고 상시 점검을 실시해야 합니다.

다음으로, 정보보호 관리체계 미흡입니다.

쿠팡은 이번 침해사고가 동일한 서버 사용자 식별번호를 반복적으로 사용했으며, 위·변조된 전자 출입증을 활용한 비정상 접속행위가 발생했음에도 해당 공격 행위를 통한 정보 유출을 탐지·차단하지 못하였습니다.

또한, 접속기록을 일관된 기준 없이 저장·관리하여 피해 이용자 식별과 정보유출 규모 산정에 어려움이 발생하였습니다.

이에 대한 재발방지 대책으로 쿠팡은 비정상 접속행위 탐지 모니터링을 강화하고, 사고원인 분석 및 피해 이용자 식별 등 목적에 맞는 로그 저장관리 정책을 수립하고 정비해야 합니다.

또한, 자체 보안규정 준수에 대한 정기 점검을 실시하고 미준수 사항 발생 시 즉시 개선하는 관리체계를 구축하여야 합니다.

이번 쿠팡 침해 사고와 관련하여 법 위반사항에 대해 말씀드리겠습니다.

쿠팡은 정보통신망법에 따라 침해 사고를 인지한 후 24시간 이내에 과기정통부 또는 KISA에 신고하여야 합니다. 그러나 정보보호 책임자(CISO)에게 보고한 시점인 2025년 11월 17일 16시로부터 24시간이 지난 후 2025년 11월 19일 21시 35분에 신고하였습니다.

이에 따라 과기정통부는 정보통신망법에 따른 3,000만 원 이하 과태료를 부과할 예정입니다.

또한, 과기정통부는 이번 침해사고 원인 분석을 위해 2025년 11월 19일 자료보전 명령을 하였습니다. 그러나 쿠팡은 자료보전 명령에도 불구하고 자사 접속기록의 자동 로그 저장 정책을 조정하지 않아, 2024년 7월부터 11월까지 약 5개월의 분량의 웹 접속기록이 삭제되었습니다. 그리고 애플리케이션 접속기록도 2025년 5월 23일부터 6월 2일간의 데이터가 삭제되었습니다.

이에 따라 자료보전 명령 위반과 관련하여 수사기관에 수사를 의뢰하였습니다.

과기정통부는 이번 조사단의 조사 결과를 토대로 쿠팡에 재발방지 대책에 따른 이행계획을 제출토록 하고 쿠팡의 이행 여부를 점검할 계획입니다. 이행점검 결과, 보완이 필요한 사항에 대해서는 정보통신망법에 따른 시정조치를 명령할 계획임을 말씀드립니다.

이상으로 쿠팡 침해 사고에 대한 조사 결과 발표를 마치도록 하겠습니다. 추가로 설명이 필요한 부분은 질의응답을 통해 상세히 설명해 드리도록 하겠습니다. 감사합니다.

[출처] 대한민국 정책브리핑(www.korea.kr)